サイバーセキュリティ企業のマルウェアバイトは、偽の暗号資産AML（マネーロンダリング防止）チェッカーが、ウォレットへの接続と取引の承認を求めることで投資家を標的にしていると警告した。本物のスクリーニングに必要なのはウォレットの公開アドレスだけであり、ハッキングや窃盗、制裁対象者などとの関連、その他の不審な活動の有無を確認するため、取引履歴を調査する。詐欺サイトはAMLBotなどのサービスを模倣したり、AML Checkなどの汎用的な名称を使ったりしたうえで、偽の認証手順を表示し、想定上の手数料を賄うためとして少額の追加入金を要求し、安心感を与える「Clean（クリーン）」「Low Risk（低リスク）」という結果を返す場合がある。マルウェアバイトの研究者ステファン・ダシック氏は、同じ詐欺キットが異なる名称やロゴの下でブランド変更され、再販売されていると述べた。Cryptopolitanが報じた500ドルのキットは、偽の$TSLAプレセールを作成し、価値の高いウォレット資産を特定したうえで、15%のボーナスを提示して12語のリカバリーフレーズをフィッシングする。また、別のソラナ関連の手口では、偽の$CJUPトークンを使ってユーザーをドレイナーサイトへ誘導していた。CoinDCXは、2024年4月から2026年1月までの間に同社のプラットフォームを装うウェブサイトを1,212件検知したと発表し、ムンバイ警察は同社を装ったウェブサイトが関与する詐欺についてFIR（第一次情報報告書）を登録した。ウォレットに接続しただけのユーザーは接続を解除すべきである。トークンの権限を付与したユーザーは、見慣れない承認を取り消すべきだ。一方、説明のつかない取引に署名したユーザーや、リカバリーフレーズまたは秘密鍵を入力したユーザーは、取引状況を確認し、露出した資金を新しいウォレットへ移すべきである。